fragelista frågar vem inom styrelsen som är ansvarig för cybersäkerhet

Ledningen bär ansvaret, inte IT-avdelningen

Vid denna fråga vill kunden veta om ledningen själv bär slutansvaret för cybersäkerhet, eller om detta har delegerats till en IT-chef eller CISO utan ledningsengagemang. Det svar som de flesta företag fyller i: en ledare är utsedd som slutansvarig, och genomförandet ligger hos en funktionär eller avdelning under denne. Dessa två saker är inte desamma och frågeformuläret vill ofta se båda: vem är ansvarig (ledningsnivå) och vem genomför det (operativ nivå).

Konkret bevis för detta är vanligtvis ett ledningsbeslut, en funktionsbeskrivning för CISO eller säkerhetschef, eller ett stycke i informationssäkerhetspolicyn som anger rollfördelningen. Saknas det dokumentet är "nej" eller "ännu ej bestämt" det ärliga svaret — inte för att ingen är ansvarig, utan för att tilldelningen inte är fastställd. Denna fråga är ofta kopplad till frågan om det finns policy för riskanalys och säkerhet av informationssystem, eftersom policyn vanligtvis också anger vem som har godkänt den och vem som underhåller den.

Där det står i direktivet: artikel 21 punkt 2

Förpliktelsen kommer från artikel 21 punkt 2 i NIS2-direktivet (Direktiv (EU) 2022/2555), som räknar upp tio åtgärder som faller under ledningens ansvar, inklusive styrning och riskhantering. Direktivet själv reglerar ledningsansvar separat: ledningen måste övervaka genomförandet och kan ställas till ansvar för det, även om den dagliga genomförandet ligger hos en CISO. I Sverige återkommer denna förpliktelse i lagen om säkra informationssystem för offentlig verksamhet och den motsvarande lagen för privata operatörer av väsentliga tjänster. ISO/IEC 27001 Annex A kräver också i kontrollmåtten kring organisationsstruktur en fastställd rollfördelning — vem som redan har det certifikatet kan vanligtvis återanvända den dokumentationen direkt för denna fråga. Är företaget är ISO 27001-certifierat, står ledningsansvaret vanligtvis redan angett i tillämpningsområdet eller policydokumentet.